La sicurezza informatica è una delle poche aree IT in cui la certificazione compare esplicitamente nelle descrizioni di ruolo. L’effetto collaterale sono roadmap lunghissime che elencano dieci esami e non dicono mai quale saltare. Questa guida fa l’opposto: propone una sequenza corta, spiega la logica dell’ordine e indica dove fermarsi.
A chi parla questa guida e da quali competenze si parte davvero
Il lettore tipo non ha esperienza specifica di sicurezza, ma quasi mai parte davvero da zero: help desk, assistenza, sistemistica leggera o studi tecnici recenti. Questa base conta, perché la sicurezza non è una materia autonoma, è un modo di guardare a sistemi che devi già saper leggere. Chi non ha mai visto una rete, un dominio o un’identità aziendale non studia sicurezza, studia definizioni.
Due competenze pesano più delle altre. La prima è capire come funziona una rete: indirizzi, porte, DNS, cosa attraversa cosa. La seconda è capire come funziona un’identità aziendale: utente, gruppo, autenticazione, autorizzazione. Se ti mancano entrambe, la prima tappa non è un esame di sicurezza, è colmare quella lacuna.
C’è poi una scelta da fare presto, e determina tutto il resto: security analyst, cioè chi guarda alert, log e incidenti, oppure identity administrator, cioè chi governa account, accessi e privilegi. Sono mestieri vicini ma non uguali, e la seconda tappa cambia a seconda di quale scegli.
Perché questa sequenza e non un’altra
La logica dell’ordine è una sola: prima il vocabolario, poi un ruolo, poi eventualmente il disegno. Fundamentals, associate ed expert non sono una gerarchia di prestigio, sono una gerarchia di domande. Un fundamentals chiede “che cos’è”, un associate “come lo configuri e lo diagnostichi”, un expert “cosa scegli e perché, dati questi vincoli”. Non puoi rispondere alla terza se non hai mai risposto alla seconda, e nella sicurezza Microsoft non è un consiglio ma una regola: l’expert di architettura ha un prerequisito formale.
La sequenza più diffusa (fundamentals, poi SC-300 o 200-201, poi SC-100 o 350-701) va però corretta su due punti, altrimenti porta fuori strada.
Primo: SC-300 e 200-201 non sono alternative allo stesso mestiere. SC-300 forma un identity administrator, 200-201 forma un analista SOC. Se il tuo obiettivo è security analyst sullo stack Microsoft, l’esame corrispondente non è SC-300 ma SC-200 Security Operations Analyst.
Secondo: 350-701 SCOR non è la prosecuzione naturale di 200-201. È l’esame core del CCNP Security, un percorso da security engineer di rete e non da analista, e dà per scontate competenze di routing e switching di livello CCNA 200-301. Metterlo subito dopo 200-201 è il modo più efficiente per bruciare i 400 USD che costa 350-701, contro i 300 di 200-201.
Tappa 1: le fondamenta, SC-900 oppure 100-160
SC-900 valida quattro aree: i concetti di sicurezza, compliance e identità (responsabilità condivisa, difesa in profondità, Zero Trust, cifratura); le capacità di Microsoft Entra (tipi di identità, MFA, Conditional Access, Privileged Identity Management); le soluzioni di sicurezza Microsoft (Azure Firewall, Key Vault, Defender for Cloud, Microsoft Sentinel come SIEM e SOAR, Defender XDR); e la compliance con Microsoft Purview (sensitivity label, DLP, retention, insider risk, eDiscovery).
100-160 CCST Cybersecurity copre cinque aree con un taglio diverso: principi essenziali di sicurezza, sicurezza di rete, sicurezza degli endpoint, vulnerability assessment e gestione del rischio, gestione degli incidenti. Cisco la presenta come primo passo verso l’associate di sicurezza, che oggi si chiama CCNA Cybersecurity (esame 200-201). Un avvertimento di lessico che ti risparmia mezz’ora di confusione: sulla scheda del CCST Cisco scrive ancora «a first step toward CyberOps Associate certification», mentre sulla pagina dell’esame 200-201 scrive che superarlo fa ottenere CCNA Cybersecurity. È la stessa certificazione con due nomi in circolazione, non due percorsi diversi.
Perché stanno in prima posizione: sono esami descrittivi, chiedono cosa fa una cosa e quando ha senso, non come si configura. Servono a rendere leggibili le domande dell’associate, che quel lessico lo dà per acquisito. Nessuno dei due ha prerequisiti. SC-900 costa circa 99 USD, ha passing score 700 su 1000 e non scade; 100-160 costa circa 125 USD.
Tappa 2: il primo ruolo vero
Qui il percorso si biforca, e la biforcazione è la vera decisione da prendere.
Se punti a identity administrator, la tappa è SC-300. Valida quattro aree: gestione delle identità utente (ruoli, utenti e gruppi, identità esterne e cross-tenant, identità ibrida con Entra Connect Sync e Cloud Sync); autenticazione e accessi (passkey FIDO2, MFA, SSPR, Conditional Access, ID Protection, Global Secure Access); identità dei carichi di lavoro (managed identity, service principal, applicazioni enterprise); e governance (entitlement management, access review, Privileged Identity Management, monitoraggio con log e KQL).
Cosa serve prima: Microsoft indica familiarità con Azure, i servizi Microsoft 365 e Active Directory Domain Services, oltre a PowerShell e Kusto Query Language. Tradotto: serve un tenant reale o di prova.
Se punti a security analyst, hai due strade. Sullo stack Microsoft l’esame è SC-200 Security Operations Analyst. Sul versante Cisco è 200-201 CCNA Cybersecurity, la certificazione che Cisco chiamava CyberOps Associate: stesso esame, stesso codice, nome nuovo — ed è con il nome vecchio che la trovi ancora scritta in buona parte degli annunci di lavoro. Valida cinque aree: concetti di sicurezza, security monitoring, analisi host-based, analisi delle intrusioni di rete, policy e procedure di sicurezza. È l’esame che i team SOC citano più spesso nelle posizioni entry-level.
Costo indicativo: circa 165 USD per le role-based Microsoft, che scadono dopo 12 mesi ma si rinnovano gratis online su Microsoft Learn; circa 300 USD per 200-201.
Tappa 3: il bivio, non l’obbligo
SC-100 Cybersecurity Architect valida la progettazione: resilienza contro il ransomware, allineamento alle Microsoft Cybersecurity Reference Architectures e al Cloud Security Benchmark, disegno di security operations, identità e compliance, sicurezza dell’infrastruttura ibrida e multicloud, sicurezza di applicazioni e dati. Non chiede di configurare, chiede di scegliere.
Sta in terza posizione per una ragione vincolante: Microsoft rilascia il badge expert solo a chi possiede già almeno una associate tra Identity and Access Administrator (SC-300), Security Operations Analyst (SC-200) e Cloud and AI Security Engineer (SC-500). Il terzo nome dell’elenco è cambiato: fino al 31 agosto 2026 c’era Azure Security Engineer Associate, basata su AZ-500, e quel giorno Microsoft ha ritirato esame e certificazione. Attenzione a non leggerlo come un semplice cambio di codice: SC-500 sposta il perimetro sulla sicurezza dei carichi di lavoro cloud e AI. Oggi le strade valide sono tre, si prende quella che corrisponde al mestiere che stai facendo — e se ti capita sotto gli occhi una roadmap che cita ancora AZ-500 come prerequisito di SC-100, è scaduta.
350-701 SCOR è l’altro ramo, ed è un ramo diverso, non un livello superiore dello stesso. Copre network security, cloud security, content security, endpoint protection, secure network access, visibilità ed enforcement, ed è l’esame core del CCNP Security, da abbinare a una concentration. Nota di calendario: dal 27 agosto 2026 l’esame è in v2.0, che ha sostituito la v1.1, quindi corsi e materiali tarati sulla v1.1 sono superati — controlla la versione del blueprint prima di comprare qualsiasi cosa. Prima di affrontarlo servono davvero le basi di rete del CCNA.
Quanto tempo richiede ciascuna tappa
Nessuna cifra secca sarebbe onesta, perché il tempo dipende quasi solo da quanto del percorso stai già facendo al lavoro. Quello che si può dire è la forma della curva.
La prima tappa è la più breve: qualche settimana di studio serale a ritmo costante basta alla maggior parte delle persone, perché il livello richiesto è concettuale.
La seconda richiede sensibilmente di più e non è comprimibile: è la tappa in cui chi studia solo su video viene bocciato con regolarità, perché le domande chiedono di configurare e diagnosticare. Quello che accorcia i tempi non sono le ore, è avere un ambiente su cui esercitarsi.
La terza è la più variabile: misura maturità professionale più che studio, e chi non ha ancora progettato nulla non l’accorcia leggendo.
Gli errori tipici di chi segue questo percorso
Accumulare fundamentals. È l’errore più costoso, ed è l’opposto di quello che ci si aspetta. Quattro badge di livello base in fila non dimostrano che sai amministrare qualcosa: dimostrano che sai leggere. Una sola associate cambia come viene letto il profilo.
Saltare le fondamenta quando servono. Il rovescio della medaglia: prenotare un associate senza il vocabolario è possibile, ma ogni tentativo fallito costa un esame intero.
Scambiare SC-300 per l’esame da analista. È la confusione più frequente e porta a studiare per mesi il mestiere sbagliato.
Pianificare su esami in ritiro. AZ-500 è il caso da manuale, ed è già successo: chi l’aveva messo in fondo a un piano da dodici mesi è arrivato fuori tempo massimo, perché esame e certificazione Azure Security Engineer Associate sono stati ritirati il 31 agosto 2026. Chi cerca oggi quella strada la ritrova sotto un altro titolo, SC-500 Cloud and AI Security Engineer, ma il punto resta: il calendario dei ritiri va controllato prima di costruire una roadmap, non dopo.
Studiare senza mai toccare nulla. Chi arriva al colloquio con una certificazione ma non ha mai visto un alert reale viene individuato subito.
Cosa non serve certificare
La prima cosa da saltare, se hai già esperienza, è il fundamentals: nessuna associate lo richiede formalmente. Chi amministra già utenti, gruppi e accessi su Entra ID non impara nulla di nuovo da SC-900 e può andare diretto su SC-300 o SC-200. Chi ha già una base solida di rete e sa cosa sono una ACL e un IDS può saltare 100-160.
La seconda sono i fundamentals di aree che non stai perseguendo: un aspirante analista non ha bisogno dei badge base di dati, low-code o AI prima di arrivare a una associate.
La terza è il livello expert, finché non serve. SC-100 certifica un mestiere che si fa dopo anni, non dopo un esame: se il tuo primo anno da analista è appena cominciato, una seconda associate vale più di un titolo di architettura che non sai ancora esercitare.
Dove porta il percorso e quali sono i bivi successivi
Con un fundamentals più una associate hai un profilo leggibile: identity administrator con SC-300, analista di security operations con SC-200 o 200-201. Da lì i bivi sono tre.
Approfondire il ruolo. Chi fa identità aggiunge il presidio degli accessi di rete: la concentration Cisco 300-715 SISE su Identity Services Engine, 802.1X e NAC copre esattamente il pezzo che manca.
Combinare i due piani. Il profilo più ricercato non è “quello Microsoft” o “quello Cisco”: è chi sa leggere una cattura di pacchetti e anche una query su un SIEM cloud. La coppia 200-201 più SC-200 copre l’intero flusso di un incidente, dalla rete all’identità compromessa.
Salire di livello. SC-100 sul versante architetturale, una volta maturato il prerequisito e soprattutto l’esperienza; CCNP Security sul versante engineering.
Nessuno di questi bivi va imboccato prima di aver consolidato la seconda tappa. Il valore di un percorso non sta nella lunghezza dell’elenco, sta nel fatto che ogni titolo corrisponda a qualcosa che sai fare.